Falha no FortiOS explorada para entregar novo malware PEERSTITCH

Pesquisadores de cibersegurança descobriram uma campanha de ataque sofisticada que explora uma vulnerabilidade de traversia de caminho no FortiOS da Fortinet para entregar uma nova peça de malware anteriormente desconhecida, chamada PEERSTITCH. Este malware baseado em ARM64 e residente em memória foi projetado para permanecer oculto enquanto realiza atividades maliciosas dentro das redes comprometidas.

A vulnerabilidade, identificada como CVE-2025-61624, afeta diversos produtos da Fortinet, incluindo FortiPAM, FortiProxy e FortiSwitchManager. Com uma pontuação CVSS moderada de 5,4, ela permite que atacantes contornem mecanismos de autenticação sob condições específicas — especialmente aquelas envolvendo sessões VPN marcadas — tornando-a um ponto de entrada poderoso para intrusões direcionadas.

Entendendo a Vulnerabilidade

• CVE-2025-61624 é uma falha de traversia de caminho no interpretador de linha de comando de vários produtos da Fortinet.
• Permite acesso não autorizado ao possibilitar navegação fora das estruturas de diretório pretendidas.
• A exploração pode levar à execução remota de código sem autenticação adequada em certas configurações.
• O tratamento de sessões VPN marcadas contém uma lacuna lógica que os atacantes exploram para manter discrição.

PEERSTITCH: A Ameaça Oculta

• PEERSTITCH é um malware recém-descoberto, residente em memória e desenvolvido para a arquitetura ARM64.
• Sua natureza sem arquivo torna a detecção baseada em assinaturas tradicionais ineficaz.
• Uma vez implantado, ele estabelece persistência e coleta dados sensíveis da rede.
• O malware se comunica com infraestrutura controlada pelos atacantes por meio de canais criptografados.
• Indicadores de comprometimento incluem uso anômalo da CLI e tráfego de saída inesperado proveniente de dispositivos Fortinet.

Fontes

• Malware PEERSTITCH implantado via falha no FortiOS ignora verificações em sessões VPN marcadas